Warum sichere Messenger im Bundestag an organisatorischen Grenzen scheitern

Die jüngsten Phishing-Attacken auf Politiker, Beamte, Journalisten und andere Akteure in der Hauptstadtblase waren teilweise erfolgreich. Auf diese Phishingversuche hätte zwar niemand hereinfallen müssen. Ein grundlegendes Problem bleibt jedoch bestehen, und auch die nun diskutierten zahlreichen „Lösungen“ adressieren es nicht vollständig.

Die als betroffen geltende Bundestagspräsidentin Julia Klöckner (CDU) hat den Abgeordneten inzwischen dringend den Messenger Wire empfohlen, der auf den Dienstgeräten des Bundestages als Alternative zur Verfügung steht.

Tatsächlich wurde eine angepasste Version des Messengers namens „Wire Bund“ vom Bundesamt für Sicherheit in der Informationstechnik (BSI) geprüft und als ausreichend sicher eingestuft, um die unterste Geheimhaltungsstufe der Bundesrepublik einzuhalten. Wire Bund ist bis zur Stufe Verschlusssache – Nur für den Dienstgebrauch (VS-NfD) zugelassen.

Wire Bund folgt dem Prinzip einer geschlossenen Benutzergruppe. Nur zugelassene Geräte können darin registriert werden. Verschiedene Instanzen können sich föderieren, um etwa Kommunikation zwischen Bundestag und BSI zu ermöglichen.

Auch andere Dienste werden derzeit als bessere Optionen angeführt. Das etwas in Vergessenheit geratene Threema rückt wieder in den Fokus. Matrix und Element sind bei der Bundeswehr als „BWMessenger“ im Einsatz. Auch der „Bundesmessenger“ als Weiterentwicklung daraus könnte auf mehr Interesse stoßen.

Klöckners Brief zeigt jedoch vor allem, was außerhalb des Berliner Politikbetriebs womöglich schwer nachvollziehbar ist: Die Präsidentin und die Bundestags-Admins haben nur Einfluss auf die IT der Bundestagsverwaltung („Parlakom”) und ihrer Mitarbeiter, nicht aber auf die der Abgeordneten und Fraktionen.

Hinzu kommt, dass Systeme die Logik der Bundesverwaltung und ihrer Sicherheitsbedürfnisse abbilden müssen. Sichere Kommunikation erfolgt in gekapselten Umgebungen. Was über „VS-NfD“ hinausgeht, muss in separaten Systemen verhandelt werden. Signal ist auf Dienstgeräten, die dem Standard der „Sichere Inter-Netzwerk Architektur“ (SINA) folgen, gar nicht installierbar, da der Dienst nicht geprüft ist.

Für die Sicherheitsstandards ist die Kommission des Ältestenrates für Informationstechnologien und Digitalisierung (IuD-Kommission) des Deutschen Bundestages zuständig. Sie betont, dass die IT-Landschaft des Deutschen Bundestages ein Verbundsystem darstellt. Es gibt Dienste für Abgeordnete, parlamentarische Gremien und die Bundestagsverwaltung. Die Fraktionen betreiben aufgrund ihrer eigenständigen Stellung jedoch ihre eigene Informationstechnik.

Der Bundestag ist ein Parlament frei gewählter Abgeordneter. Diese grundgesetzlich verbriefte Freiheit bedeutet auch, dass jeder Abgeordnete das Recht hat, eigene IT zu nutzen. Die IT der Fraktionen ist ebenfalls unabhängig, auch wenn sie nach schlechten Erfahrungen häufig an die Hauptkonzepte des Hauses angelehnt ist.

Für alle, die vor allem mit der IT-Organisationsbrille auf den Bundestag schauen, zeigt sich hier ein wesentlicher Teil des Problems: Menschen sollen innerhalb der Umgebung Bundestag mit unterschiedlichen Arbeitsmitteln und nach unterschiedlichen Standards interoperabel arbeiten können.

Die Abgeordneten genießen einen besonders hohen Schutz, auch vor der Exekutive. Während manche vielleicht kein Problem damit hätten, wenn der Verfassungsschutz zur Gefahrenabwehr ihre Inbox scannt oder das BSI eine Firewall wirksam konfiguriert, wäre das für andere inakzeptabel. Es würde Kontrolle des Parlaments ermöglichen, das seinerseits eigentlich die Exekutive kontrollieren soll.

Ein harmloses Beispiel illustriert das Problem: die Tagesordnung des Bundestages. Sie muss zwischen den Fraktionen abgestimmt werden, üblicherweise von den Parlamentarischen Geschäftsführern. Diese müssen sich mit Fraktionsmitarbeitern und Abgeordneten rückkoppeln. Weil Politik nicht nur im Bundestag stattfindet, kommen weitere Akteure hinzu. Soll ein Minister sprechen, muss dessen Haus einbezogen werden. Das ist aus Bundestagssicht organisationsfremd. Minister sind oft, aber nicht immer zugleich Abgeordnete.

Besonders schwierig sind die Parteien und ihre Apparate mit Parteizentrale, Bundesgeschäftsführer und Mitarbeitern. Mitglieder des Präsidiums sind womöglich zugleich Ministerpräsidenten, Bundesminister, Bundestagspräsidentin oder Fraktionsvorsitzende. Dann müssen unter Umständen auch Arbeitnehmerflügel oder die Mittelstandsgruppe konsultiert werden.

Eine Partei ist keine staatliche Organisation, sondern ein privater Verein. Sie darf daher nicht auf Dienste von Bundesbehörden zurückgreifen. Für Parteiarbeit dürfen Politiker umgekehrt ihre Dienstgeräte und deren Software aus staatlichen Funktionen nicht nutzen, weil das eine Nutzung von Staatsmitteln zu nicht vorgesehenen Zwecken wäre.

Politiker haben zudem oft mehrere Rollen. Friedrich Merz ist Bundeskanzler, Parteivorsitzender, Abgeordneter und kooptiertes Mitglied im Vorstand des CDU-Kreisverbandes Hochsauerland. Er muss als Kanzler hochsicher kommunizieren können. Als Abgeordneter ist er frei. Die Nutzung der Parlaments-IT und von Fraktionsdiensten wie geteilten Laufwerken unterliegt den jeweiligen Regeln. Als Parteivorsitzender und Vorstandsmitglied im Heimatkreisverband ist er formal normaler Bürger.

All das erklärt, warum eine einfache Lösung nach dem Muster, ein Admin lasse einen sicheren Messenger zu und kontrolliere die Infrastruktur, an der Vielzahl von Organisationskontexten scheitert. Deshalb ist in der Realität oft das private Endgerät das Kommunikationsmittel der Wahl. Da in der Politik häufig schnell und über Grenzen hinweg kommuniziert werden muss, gibt es dafür bislang kaum eine verfügbare und skalierende Alternative.

Es deutet also vieles darauf hin, dass sich die Kommunikationswege von Politikern nicht vollständig absichern lassen. Die nächste Phishing-Welle wird kommen und könnte noch ausgefeilter sein. Es kann jeden treffen. Deshalb muss weiter über Absicherungen nachgedacht werden. Dazu gehört auch die Option, dass Signal Konten deaktivieren können sollte, wenn der ursprüngliche Eigentümer Anzeichen für einen Kontrollverlust hat. Dazu müsste der legitime Nutzer den Betreibern des Messengers einen Hinweis geben können. Signal müsste die Inhaberschaft des Kontos prüfen können. Zumindest als optionales Angebot beim Einrichten eines Kontos sollte das vorhanden sein.

Dass ein Messenger wie Signal nicht mehr als Nerdkram betrachtet wird, den nur einige Whistleblower nutzen, sondern bis in die Politik vorgedrungen ist, ist grundsätzlich positiv. Nach den Ereignissen der vergangenen Wochen dürfte vielen bislang Unbedarften aber klarer geworden sein, dass Nutzer auch grob verstehen sollten, was sie tun. Zudem ist etwas Funkdisziplin, also das Nachdenken darüber, was wann mit wem geteilt wird, allgemein ratsam.

Viele Namen von Betroffenen sind bislang nicht öffentlich. Die wenigsten bekennen sich dazu, dass sie auf die Phishing-Attacke hereingefallen sind. Manche Fälle werden nur dadurch sichtbar, dass Konten für andere Nutzer überraschend aus Chatgruppen entfernt werden oder offline darauf hingewiesen wird, dass der Account nun von woanders weiterbetrieben wird.

Der frühere BND-Vize Arndt Freytag von Loringhoven hat sich dazu mehrfach öffentlich geäußert. Er habe damit anerkannt, dass die Peinlichkeit geringer zu gewichten sei als die Warnung an Betroffene. Darin liegt auch eine Lehre aus der normalen IT-Welt für die Politik: Data Breach Notifications sind wichtig für die indirekt Mitbetroffenen.